GDPR合规检查表 – 审计要求解释。 《通用数据保护条例》（GDPR）旨在保护欧盟公民的隐私。因此，任何服务于欧盟市场的公司都必须遵守 GDPR 要求。主要是为了保护欧盟公民并让他们对自己的在线数据拥有控制权。
因此，GDPR规定了组织在未经同意的情况下获取用户信息的禁止。您必须获得用户的许可才能收集和使用他们的数据。最重要的是，GDPR旨在提供完整的隐私保护，并允许公民选择谁可以收集、分析和使用他们的数据。
本文讨论了组织必须满足的GDPR 合规 要求以获得认证。
我们是否从解释GDPR合规检查表 – 审计要求开始？
另请阅读 SOX合规检查表 – 审计要求解释（最佳实践）
GDPR适用于谁？
首先，GDPR旨在保护欧盟和英国的公民。因此，在这些地区运营的任何组织都必须遵守要求。此外，欧盟和英国以外的公司也必须遵守GDPR，如果他们处理来自这些地区的数据。例如，一家处理欧盟和英国数据的美国公司应该遵守GDPR。
最好注意的是，如果数据处理不是您业务的核心部分，则某些GDPR要求可能不适用。基本上，如果您不进行任何数据处理，则不必任命数据保护官（DPO）。
10个GDPR合规要求
好吧，有了GDPR合规检查表 -审计要求，您应该知道，GDPR有十个要求，组织必须满足这些要求才能变得合规。这些是：
1.公平、透明和合法的数据处理
首先，GDPR要求组织在处理用户数据时记录合法理由。您应该首先告知个人收集个人数据的情况。然后，您提供有效的理由，说明您的组织收集和处理个人数据的原因。最后，所有数据处理必须基于合法目的。
综上所述，您的组织应该明确规定数据存储的具体期限。此外，您应该在数据收集或处理流程发生变化时通知他们。
2. 审查数据保护政策
为了符合GDPR，您必须实施数据保护政策。如果您已经有了数据保护政策，您应该定期审查并保持其更新。因此，您的数据保护政策应该通过设计提供信息隐私。所有实施的技术和组织措施必须整合数据合规措施。
3. 进行数据保护影响评估（DPIA）
GDPR合规检查表的下一个要求是，处理极其敏感数据的组织必须进行数据保护影响评估（DPIA）。DPIA评估您组织的数据处理活动对用户可能产生的影响。
A DPIA is a cybersecurity risk assessment process, that helps your organization identify and minimize data protection risks. It is mandatory when you introduce changes in the data processing process. The DPIA also ensures you do not violate the users’ data protection rights.
4. 实施适当的数据安全措施
数据安全工具包括数据备份、防病毒软件，数据丢失预防（DLP）系统，以及数据加密和令牌化。此外，您可以使用VPN、防火墙和分层网络安全来保护公司网络。关键步骤是实施实时网络监控，以帮助检测网络中的任何异常活动。
访问控制确保只有授权用户访问数据。根据您组织的性质，您可以实施最小特权访问、多因素身份验证，以及身份和访问管理。为了最小化内部威胁，您可以实施员工监控和用户行为分析。
5. 实施用户隐私权
同样，GDPR为用户提供了各种 隐私权利 以确保他们对自己的数据拥有控制权。实质上，您的组织应该授予数据用户八项权利。其中包括：
信息权
告知个人您收集的数据类型以及如何使用它。此外，您应该告知他们您需要数据的方式以及是否与第三方共享。
访问权
显然，GDPR要求组织向用户提供数据访问权限。任何个人都可以提交数据主体访问请求（DSAR），这要求组织向相关个人提供数据副本。除非有异常情况，你应在一个月内提供这些数据。
更正权
如果用户数据不准确或不完整，组织应更正。用户可以要求组织进行修正。
删除权
A data subject can request the organization to erase data, if it’s no longer necessary or unlawfully processed. Being that, the organization grants this right, provided it’s based on factual grounds.
抗议权
用户有权抗议数据收集和处理，无论其是否出于合法目的。这是除非组织提供超越用户权利和自由的有效理由。
可携性权
如果个人通过同意向数据控制者提供个人数据，他们有权获取和重复使用自己的数据。
限制处理权总的来说，当个人不再使用该项目时，他们有权限制处理。这适用于组织需要将数据用于法律索赔的情况。
决策权
GDPR在数据自动处理进行决策而无人参与的情况下提供了严格的规则。个人有权对处理提出质疑并要求审查处理，如果他们认为组织没有遵守规则。
6.记录您的GDPR合规性
7.任命一名数据保护官
A data protection officer (DPO) is a person or entity contracted to oversee compliance and stay in touch with any data breach risks. The DPO can be an in house employee or an outsourced third party who understands GDPR data protection requirements.
A data protection officer is mandatory if the organization is a public body or an authority. Also, organizations that perform large scale data processing or that handle special data should have a data protection officer.
DPO的角色包括：
- 监控数据处理程序。
- 作为组织与GDPR监管机构之间的中介。
- 向组织提供最佳GDPR合规实践的建议。
- 提供准确的数据保护影响评估。
由于任务的性质，数据保护官（DPO）应该充分理解GDPR法律和最佳实践。
8.报告数据泄露
此外，GDPR要求用户立即报告数据泄露。处理者和控制者都必须在检测到数据泄露后的72小时内报告。然而，如果事件不会损害用户的权利和自由，这并不是强制性的。数据处理者应该通知数据控制者，后者应该通知数据保护机构（DPA）。
因此，您应该向DPA提供数据泄露性质的描述。同时，您应该提供有关数据主体数量和任何可能后果的信息。在文件中，说明所有采取的措施以遏制数据泄露的影响。
9.员工培训
GDPR要求组织对员工进行培训，以了解要求和数据保护程序，以最小化数据泄露的风险。教育所有员工个人数据隐私、潜在的网络安全威胁，以及不遵守规定的后果。在培训计划中，重点强调数据处理意识。此外，培训材料应定期更新，提供相关的网络安全漏洞示例。
10. 定期评估第三方风险
同样重要的是，GDPR期望组织评估第三方可能带来的安全风险。组织应实施补救机制，以防止由于与第三方合作而导致的数据泄露。
随后将介绍GDPR合规检查表 – 审计要求的解释，我们将解释GDPR的原则。
提升您的Active Directory合规性和安全性以及Azure AD
免费试用，访问所有功能。- 200+ AD报告模板可用。轻松定制您自己的AD报告。
GDPR的原则
GDPR有多种原则，概括了其众多要求。例如，它为个人信息的处理、存储和处理定义了原则。GDPR有七个关键原则：
合法性、公平性和透明度
所有个人数据处理都应在公平和合法的基础上进行。此外，它应该对所有者透明，他们的个人数据是如何被收集、使用和处理的。这一原则还要求与个人数据相关的信息应易于访问，并以清晰、简单的语言显示。此外，在用户给予同意的情况下，组织还应履行法律义务。关于您正在收集的数据，您不应隐瞒信息。
目的限制
第二个GDPR原则对数据使用活动设定了限制。这意味着，您只处理已确定目的的数据，这些目的通过隐私通知传达。不要将数据用于其他目的，而不是所述目的，并且必须与数据主体沟通以获得同意。
数据最小化
只收集为达到目的所需的最小量数据。例如，如果你需要用户的联系信息，如电子邮件，就不应该要求不必要的如物理位置、电话号码等信息，因为它们与特定目的无关。
准确性
始终检查你收集和存储的数据的准确性。理想情况下，你应该有一个审计过程来检查数据是否正确和完整。
存储限制
明确并证明你打算持有用户数据的数量。这确保你不会保留数据超过必要的时间。在组织完成其需求后，应立即删除数据。如果组织需要保留数据超过必要时间，则必须建立一个保留期限并证明其合理性。
完整性和保密性（安全）
责任
这一原则与组织在处理用户数据时承担责任有关。作为数据处理者，您应该在遵守GDPR的情况下处理个人数据时承担责任。基本上，您应该致力于履行各种要求并适当记录它们。
另请阅读尝试Office 365管理工具
如何进行GDPR审计
同样，GDPR合规性审计因组织的不同而异，这取决于个人数据审计的性质。在获得认证之前，组织必须进行审计以评估其合规水平。GDPR审计主要关注网络安全和数据治理。在这里，使用GDPR合规性检查清单——审计要求，GDPR审计涉及以下步骤：
1. 制定GDPR审计计划
GDPR审计的第一步是制定审计计划。基本上，这是一系列书面的、可操作的步骤，用于指导审计期间需要覆盖的内容。组织需要了解其整个生命周期中持有的数据。同时，确保根据收集数据的方式和来源对个人数据进行分类。
2. 检查GDPR合规性差距
在合规性检查之后，审计员应创建一份报告，概述当前的流程以及与GDPR规则不一致的领域。
3. 补救合规性差距
一旦审计员识别出合规性差距，组织应采取基于风险的补救方法。将报告与GDPR要求和原则进行对比，并修复任何不符合的领域。理想情况下，您应该从可能对组织产生不利影响的高风险领域开始。
4. 测试补救措施
最后的过程涉及检查补救过程是否消除了合规性差距。您必须测试组织的系统和流程是否满足GDPR要求。测试已实施的流程和控制，以确保没有差距。完成此过程后，进行审计以确保您的组织满足所有要求。
值得注意的是，GDPR合规性审计是一个持续的过程。您应该定期进行这些审计，特别是在更改核心组织流程和系统时。
感谢您阅读GDPR合规性检查表 – 审计要求解释。我们将结束这篇文章。
此外，请阅读网络安全中的前15个最佳漏洞扫描工具
GDPR合规性检查清单-审计要求解释结论
遵守GDPR的要求是一个具有挑战性的过程，需要一个高度技术的团队、一个合格的DPO和知情的员工。您的组织应该实施所有必要的数据保护系统，并确保以安全合法的方式收集、存储和处理用户数据。
欲了解更多此类网络安全提示，请阅读我们的博客！
Source:
https://infrasos.com/gdpr-compliance-checklist-audit-requirements-explained/